پل Verus دوباره به قیمت 7.54 میلیون دلار هک شد زیرا یک کلاس باگ قدیمی همچنان کریپتو را تخلیه می کند

یک مهاجم موفق شد روز پنجشنبه حدود 7.54 میلیون دلار از پل Verus Ethereum سرقت کند. این دومین بار است که طی حدود دو ماه گذشته یک اکسپلویت با موفقیت با استفاده از این پل انجام می شود. به نظر می رسد آسیب پذیری که در اوایل امسال کشف شد، هرگز به طور کامل رفع نشد. این نشان می دهد که چگونه برخی از آسیب پذیری های شناخته شده همچنان سیستم های زنجیره ای را تهدید می کنند. پل‌های زنجیره‌ای متقاطع به کاربران اجازه می‌دهند دارایی‌ها را روی یک بلاک چین قفل کنند و در نتیجه توکن‌های معادل را روی بلاک چین دیگری صادر کنند. با این حال، بیشتر پل ها دارای استخرهای نقدینگی مشترک بسیار بزرگی هستند. بنابراین، تنها یک اشتباه کوچک توسط اعتبار سنجی ها می تواند باعث ضرر میلیون ها دلاری شود. طبق گفته شرکت امنیت سایبری بلاک چین Blockaid، به نظر می‌رسد که در حمله Verus نیز همین اتفاق افتاده است، با همان نوع باگ که بر برخی از بزرگ‌ترین هک‌های پل رمزنگاری از سال 2022 تأثیر گذاشته است. طبق گفته Blockaid، مهاجم از مکانیسم واردات پل سوء استفاده کرده است تا به‌منظور انجام فعالیت‌های انجام شده، اقدام به پرداخت هزینه‌های دیگر کند. مقادیر موجود در بلاک چین وروس هکر توانست دارایی هایی از جمله ETH، tBTC، USDC، USDT، EURC، MKR، و scrvUSD را به سرقت ببرد و مجموع زیان آن به حدود 7.54 میلیون دلار رسید. این حمله بر روی قرارداد پروتکل پل Verus Ethereum در 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63 متمرکز شد در حالی که پول به کیف پول هکر ردیابی شد. 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54.شواهد بلاک چین به راحتی در Etherscan قابل دسترسی است. این شامل قرارداد پل، کیف پول مهاجم و همچنین تراکنش بهره برداری است. این حادثه به ویژه جالب است زیرا بسیار شبیه به حادثه دیگری است که در می 2026 رخ داد، هک پل Verus که در آن 11.58 میلیون دلار تخلیه شد. Blockaid بیان کرد که هر دو حمله یک قرارداد را از طریق یک مسیر واردات هدف قرار داده اند، به این معنی که آسیب پذیری برطرف نشده است. چرا این اشکال میلیون‌ها سکه پرداخت می‌کند شرکت‌های امنیتی Halborn و Merkle Science نیز بر اساس یافته‌های خود پس از تجزیه و تحلیل حمله قبلی به همین نتیجه رسیدند. این آسیب‌پذیری یک شکست رمزنگاری نبود، بلکه یک اعتبار سنجی گمشده بود که تضمین می‌کرد مقدار اعمال شده در زنجیره Verus با مقدار منتشر شده در اتریوم مطابقت داشته باشد. — راب بهنکه، هالبورن طبق گفته هالبورن، تراکنشی به ارزش حتی حدود 1 سنت هنوز هم تمام امضاهای پل و الزامات ضد مرکل را پیش از اجرای قرارداد هوشمند اتریوم برای اجرای آن تراکنش و آزادسازی دارایی‌های میلیون‌ها دلاری انجام می‌دهد. به گفته Merkle Science، علت این مشکل عملکرد checkCCEValues ​​در کد پل تعیین شده است.